- 首頁
- /
- 文章
感謝您的意見回饋。
在此文章中
意見回饋？您可以在控制中樞與使用 Active Directory 聯合服務 (ADFS 2.x 及更新版本) 作為身分識別提供者 (IdP) 的部署之間設定單一登入 (SSO) 整合。
單一登入與 Control Hub
單一登入 (SSO) 是階段作業或使用者驗證程序，允許使用者提供認證來存取一或多個應用程式。此程序會針對使用者取得權限的所有應用程式，進行使用者驗證。如果使用者在特定階段作業期間切換應用程式，則此程序會消除進一步的提示。
「安全性聲明標記語言 (SAML 2.0) 同盟通訊協定」用於在 Webex 雲端和您的身分識別提供者 (IdP) 之間提供 SSO 驗證。
設定檔
Webex 應用程式僅支援 Web 瀏覽器 SSO 設定檔。在 Webex 瀏覽器 SSO 設定檔中，Webex 應用程式支援下列繫結：
-
SP 起始的 POST -> POST 連結
-
SP 起始的 REDIRECT -> POST 連結
NameID 格式
「SAML 2.0 通訊協定」支援特定使用者採用數種 NameID 格式進行通訊。Webex 應用程式支援下列 NameID 格式。
-
urn:oasis:names:tc:SAML:2.0:nameid-format:transient -
urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified -
urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
在您從 IdP 載入的中繼資料中，第一個項目是設定用於 Webex。
SingleLogout
Webex 應用程式支援單一登出設定檔。在 Webex 應用程式中，使用者可以登出應用程式，這將使用「SAML 單一登出」通訊協定來結束階段作業，並向您的 IdP 確認該登出。請確保為 SingleLogout 設定了 IdP。
將控制中樞與 ADFS 整合
該設定指南顯示 SSO 整合的特定範例，但不提供所有可能性的詳盡設定。例如，記錄了 nameid-format urn:oasis:names:tc:SAML:2.0:nameid-format:transient 的整合步驟。其他格式（例如 urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified or urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress ）適用於 SSO 集成，但超出了我們文件的範圍。
為 Webex 組織中的使用者設定此整合（包括 Webex 應用程式、Webex Meetings 及在 Control Hub 中管理的其他服務）。如果 Webex 網站已整合在 Control Hub 中，則 Webex 網站會繼承使用者管理。如果您無法以此方式存取 Webex Meetings 且它未在 Control Hub 中進行管理，則您必須執行單獨整合才能為 Webex Meetings 啟用 SSO。
根據預設，可以啟用整合式 Windows 驗證 (IWA)，根據 ADFS 中的驗證機制中所設定的內容。 如果啟用，則透過 Windows 啟動的應用程式 (例如 Webex App 和 Cisco 目錄連接器) 都會驗證為已登入的使用者，無論在初始電子郵件提示期間輸入哪個電子郵件地址。
下載 Webex 中繼資料至您的本機系統
在設定身分識別提供者之前，請下載 Webex 中繼資料。 此檔案包含您組織的 Webex 服務提供者設定，而您的身分識別提供者會使用這些 設定來識別 Webex，並將 SAML 登入回應傳回到正確的位置。 在身分識別提供者中設 定 SAML 應用程式時，請使用此中繼資料檔案。
| 1 | |
| 2 |
前往 。 |
| 3 |
轉到 身份提供者 標籤並點擊 啟動 SSO。 |
| 4 |
選擇一個 IdP。 |
| 5 |
選擇貴組織的憑證類型：
|
| 6 |
下載中繼資料檔案。 Webex 元資料檔名是 idb-meta-<org-ID>-SP.xml。 |
在 ADFS 中安裝 Webex 中繼資料
在開始之前
控制中心支援 ADFS 2.x 或更新版本。
Windows 2008 R2 僅包含 ADFS 1.0。 您必須從微軟安裝至少 ADFS 2.x。
對於 SSO 和 Webex 服務，身分識別提供者 (IDP) 必須符合下列 SAML 2.0 規格：
-
將命名 ID 格式屬性設置為 Urn: OASIS: 名稱:TC: SAML: 2.0: 名稱 ID 格式：暫時性
-
設定 IdP 上的聲明，以包括 uid 屬性名稱，其值對應至 Cisco 目錄連接器中選擇的屬性，或與 Webex 身分識別服務中選取的屬性相符的使用者屬性。 (例如，此屬性可以是電子郵件地址或使用者主要名稱。)如需指引，請參閱 https://www.cisco.com/go/hybrid-services-directory 中的自訂屬性資訊。
| 1 |
使用管理員權限登入 ADFS 伺服器。 |
| 2 |
開啟 ADFS 管理主控台，然後瀏覽至 |
| 3 |
從「新增依賴方信任精靈」 視窗中，選取「開始」。 |
| 4 |
對於 「選取資料來源」，選取從檔案匯入相關依賴對象的資料，瀏覽至您下載的 Control Hub 中繼資料檔案，然後選取下一步。 |
| 5 |
對於指定顯示名稱，為此依賴對象信任 (例如 Webex) 建立顯示名稱，然後選取 [下一步] 。 |
| 6 |
在「選擇發行授權規則」 中，選取「允許所有使用者存取此依賴方」，然後選取「下一步」。 |
| 7 |
對於「準備新增信任」，選取「下一步」，然後完成將依賴信任新增至 ADFS。 |
建立 Webex 驗證的聲明規則
| 1 |
在 ADFS 主窗格中，選取您建立的信任關係，然後選取「編輯聲明規則」。 在「發行轉換規則」頁籤上，選取「新增規則」。 |
| 2 |
在「選擇規則類型」步驟中，選取「將 LDAP 屬性傳送為聲明」，然後選取「下一步」。  |
| 3 |
再次選取新增規則，選取使用自訂規則傳送聲明，然後選取下一步。 此規則為 ADFS 提供 Webex 其他不提供的「spname 限定符」屬性。
|
| 4 |
在主視窗中選取「依賴對象信任」，然後在右窗格中選取「屬性」。 |
| 5 |
當「屬性」視窗出現時，瀏覽至 [進階] 索引標籤 SHA-256，然後選取 [確定] 以儲存變更。 |
| 6 |
瀏覽至內部 ADFS 伺服器上的下列 URL 以下載檔案：https: //< AD_FS_伺服器 >/ 聯盟中繼資料 /2007-06. 聯盟中繼資料。xml 您可能需要右鍵單擊頁面並查看頁面源以獲取正確格式化的 XML 文件。 |
| 7 |
將檔案儲存到您的本機電腦。 |
下一步
您已準備好從管理入口網站將 ADFS 中繼資料匯入 Webex。
匯入 IdP 中繼資料並在測試後啟用單一登入
匯出 Webex 中繼資料後，設定 IdP，然後將 IdP 中繼資料下載至本機系統，您便可以將中繼資料匯入至 Webex 組織（從 Control Hub）。
在開始之前
請勿從身分識別提供者 (IdP) 介面測試 SSO 整合。我們只支援由服務提供者發起（即由 SP 發起）的流程，因此您必須對此整合使用 Control Hub SSO 測試。
| 1 |
選擇一個：
|
| 2 |
在匯入 IdP 元資料頁面上，將 IdP 元資料檔案拖曳到頁面上，或使用檔案瀏覽器選項來尋找並上傳元資料檔案。按一下下一步。
如果可以，您應該使用較安全選項。這只有在您的 IdP 使用公用 CA 來簽署其中繼資料時才可行。 在所有其他情況下，您必須使用較不安全選項。這包括中繼資料未簽署、自我簽署或由私人 CA 簽署這樣的情況。 Okta 未簽署中繼資料，因此您必須為 Okta SSO 整合選擇較不安全。 |
| 3 |
選擇 測試 SSO 設定，當開啟新的瀏覽器標籤時，透過登入向 IdP 進行身份驗證。 如果您收到驗證錯誤，則憑證可能有問題。檢查使用者名稱和密碼並再試一次。 Webex 應用程式錯誤通常表示 SSO 設定有問題。在這種情況下，再次檢查這些步驟，尤其是複製 Control Hub 中繼資料並貼至 IdP 設定的步驟。 若要直接查看 SSO 登入體驗，您還可以從此螢幕按一下將 URL 複製到剪貼簿，並將其貼至私人瀏覽器視窗中。您可以在這裡使用 SSO 進行逐步登入。此步驟會停止因存取權杖可能位在現有階段作業中而您未進行登入的誤判。 |
| 4 |
回到 Control Hub 瀏覽器標籤。
此 SSO 設定不會在貴組織中生效，除非您先選擇圓鈕並啟動 SSO。 |
下一步
如果您想要將 Okta 使用者從 Okta 佈建到 Webex 雲端，請使用將 Okta 使用者同步至控制中心中的程序。
如果您想將使用者 從 Entra ID 佈建到 Webex 雲端，請使用將 Microsoft 輸入 ID 使用者同步至控制中心中的程序。
您可以按照 抑制自動電子郵件 中的步驟來停用發送給組織中新 Webex 應用程式使用者的電子郵件。文件還包含將通訊傳送給您組織中的使用者的最佳做法。
更新 ADFS 中的 Webex 依賴方信任
在開始之前
您必須先從控制中心匯出 SAML 中繼資料檔案，然後才能更新 ADFS 中的 Webex 依賴方信任。
| 1 |
使用管理員權限登入 ADFS 伺服器。 |
| 2 |
將 SAML 中繼資料檔案從 Webex 上傳到 ADFS 伺服器上的臨時本機資料夾，例如。
|
| 3 |
開啟 PowerShell。 |
| 4 |
執行 請注意 Webex |
| 5 |
<org-ID>執行更新 請務必使用環境中的正確值取代文件名和目標名稱。 請參閱 https://docs.microsoft.com/powershell/module/adfs/update-adfsrelyingpartytrust。如果您已下載 Webex SP 5 年期憑證，並且已開啟簽署或加密憑證撤銷，則需要執行以下兩個命令： |
| 6 |
登入控制中心，然後測試 SSO 整合：
|
.ADFS 疑難排解
Windows 日誌中的 ADFS 錯誤
在 Windows 日誌中，您可能會看到 ADFS 事件記錄錯誤代碼 364。 事件詳細資料識別無效的憑證。 在這些情況下，不允許 ADFS 主機透過防火牆上的埠 80 來驗證憑證。
嘗試為依賴對方信任建立憑證 鏈結時發生錯誤
更新 SSO 憑證時，登入時可能會出現此錯誤：回應中
無效的狀態代碼。
如果您看到此錯誤，請檢查
ADFS 伺服器上的事件檢視器記錄，並尋找下列錯誤：嘗試
建立由指紋 '754B
9208F1F75C5CC122740F3675C5D129471D80' 識別的依賴方信任者
'https://idbroker.webex.com/' 憑證的憑證鏈時發生錯<org-ID>誤。 可能的原因是
憑證被撤銷、無法按照信任方的加密憑證撤銷設定指定驗證憑證鏈結，或憑證未在其有效期限
內。
<orgID>如果發生此錯誤，您必須執行命令
Set-ADFSRely ingPartyTrust-TargetIdentifier https://idbroker.webex.com/-加密憑證檢查無
聯盟編號
聯盟 ID 區分大小寫。 如果這是您的組織電子郵件地址，請按照 ADFS 傳送的方式輸入，否則 Webex 找不到匹配的使用者。
無法在傳送 LDAP 屬性之前 寫入自訂聲明規則來標準化。
從您在環境中設定的 ADFS 伺服器 匯入中繼資料。
如有必要，您可以瀏覽至「
時間同步
確定 ADFS 伺服器的系統時鐘已同步到使用網路時間通訊協定 (NTP) 的可靠網際網路時間來源。 使用下列 PowerShell 指令只能傾斜 Webex 依賴方信任關係的時鐘。
設定 ADFS 相關派對信任-目標識別符 "https://idbroker.webex.com/$ENTITY_ID_HEX_VALUE"-不前的偏差 3
十六進位值對您的環境來說是唯一的。 請從 Webex 中繼資料檔案中取代 SP 實體描述器 ID 值中的值。 例如：
<EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" entityID=" https://idbroker.webex.com/c0cb726f-a187-4ef6-b89d-46749e1abd7a">
